4 Infrastrukturen på Rørosbanen mellom Hamar og Røros

4.1 Strekningen Hamar – Røros

Rørosbanen er en del av banestrekningen Hamar – Trondheim. Det som omtales som Rørosbanen er strekningen Hamar – Støren. Denne er totalt 384   km lang. Fremstillingen er begrenset til Rørosbanens sydlige del, strekningen Hamar – Røros. Figur 3.1 viser banens geografiske plassering, mens figur 3.5 gir en oversikt over hvor de enkelte stasjoner på banens sydlige del befinner seg.

Rørosbanen ble åpnet suksessivt i perioden 1862 til 1877 som en smalsporet bane. I perioden 1917 til 1941 ble den utvidet til en normalsporet bane, tilsvarende andre norske jernbanestrekninger.

Rørosbanen er ikke elektrifisert og trafikkeres derfor med dieseldrevne tog. En nærmere presentasjon av togmateriellet som var involvert i ulykken gis i kap. 5.

Rørosbanen er enkeltsporet og det er lange avstander mellom stasjonene, på det meste 40   km. Det er ikke lagt opp til kryssing annet enn på stasjonene, hvor det i tillegg til hovedsporet er anlagt avviks- eller kryssingsspor. Det er forholdsvis lite trafikk på strekningen. Eksempelvis passerte på hverdager bare to persontog Rudstad stasjon i tidsrommet 12.00 til 14.00 med den ruteplanen som gjaldt 4. januar.

Hastigheten på Rørosbanen er skiltet til maksimum 130   km/t. Det skal dog bemerkes at kravsforskriften § 3 pkt. 2 bokstav l) ikke tillater hastigheter over 100   km/t på Rørosbanen.

Rørosbanen ble frem til ombyggingen først på 1990-tallet drevet med manuell togfremføring, og stasjonene var derfor bemannet med togekspeditører. Togekspeditørene samarbeidet om togfremføringen ved å forvisse seg om at sporet var ledig frem til neste stasjon. Etterhvert som togfremføringen på sydlig del av Rørosbanen ble fjernstyrt, ble også togekspeditørenes sikkerhetsoppgaver overtatt av signalanlegget.

På en fjernstyrt strekning skal togleder ha oversikt over hvor togene befinner seg. Togleder bestemmer hvilke togbevegelser som skal finne sted ved å legge såkalte togveier. En togvei er eksempelvis en ordre til signalanlegget om at et gitt tog kan kjøre fra stasjon A til stasjon B. Dersom denne ordren ikke er i konflikt med øvrige togbevegelser, vil signalanlegget sette opp de nødvendige lyssignaler slik at lokomotivfører får klarsignal til å forlate stasjon A og kjøre til stasjon B.

Det eneste kommunikasjonsmidlet som etter Jernbaneverkets trafikksikkerhetsbestemmelser er tillatt brukt som sikkerhetsmessig kommunikasjonsverktøy på Rørosbanen er blokktelefon. Dette er spesialtelefoner som står i låste skap langs sporet ved alle hovedsignaler. Fra blokktelefonen kan lokomotivfører eller konduktør få direkte kontakt med togleder. Blokktelefonen gir sikker posisjonsbestemmelse av anropende part, men er meget upraktisk i og med at togpersonalet må ut av toget for å få kontakt med togledersentralen. Dessuten kan et tog i fart ikke nås mellom to stasjoner via blokktelefon, og togleder vil derfor ikke få formidlet beskjed til toget om at det må stoppe.

På de mer trafikkerte banestrekninger i Norge er derfor togradio installert. Togradiosystemet har sikker identifikasjon av anropende part og kan gi sikker posisjonsbestemmelse. Det er også mulig å gi direkte beskjed til det enkelte tog om å stoppe. Dette systemet var imidlertid hverken utbygget eller er i nær fremtid planlagt utbygget på Rørosbanen.

Ved formidling av beskjeder av praktisk eller kunderettet art benyttes mobiltelefonen som togbetjeningen på Rørosbanen er utstyrt med, jf. pkt. 6.2.3.2. Tidligere hadde NSB BA et såkalt alfa-nummer hvor man ved å kjenne til tognummeret kunne nå togets mobiltelefon.

På alle togledersentraler er det montert en alarmtelefon og denne har en annen ringetone enn de ordinære telefonapparatene på sentralen. Mobiltelefonen til både lokomotivfører og konduktør er forhåndsprogrammert med telefonnummeret til alarmtelefonen.

I tillegg til mobiltelefon er konduktørene i hele landet utstyrt med personsøker. På personsøkeren får konduktørene beskjed om forsinkelser både på egen strekning og andre strekninger. Det er Kommisjonens inntrykk at meldingene som legges inn i personsøkertjenesten hovedsakelig knytter seg til togtrafikken rundt Oslo. 4. januar var det ikke lagt ut noen informasjon om forsinkelser på Rørosbanen i personsøkertjenesten.

På Rørosbanen var det ikke utbygget såkalt ATC. ATC er en forkortelse for Automatic Train Control. Det er to former for ATC; DATC og FATC. Disse forkortelsene står for henholdsvis Delvis og Full ATC.

Delvis ATC gjør at et tog stoppes automatisk ved eventuell passering av signal i stopp, dvs. ved passering av rødt lys eller slukket signal. På norsk benyttes også forkortelsen ATS, Automatisk Togstopp, på denne typen ATC.

Full ATC hindrer også togene i å overskride den maksimalt tillatte hastighet på strekningen.

ATC må både være utbygd i infrastrukturen og installert ombord i materiellet som trafikkerer strekningen for å fungere. ATC-utstyret ombord i toget mottar informasjon fra såkalte baliser som er plassert i skinnegangen. En balise er en informasjonsenhet som aktiveres ved togpassasje og som gir informasjon til toget om signalstatus på det stedet hvor toget befinner seg.

På Rørosbanen var det 4. januar ikke installert ATC i infrastrukturen. Arbeidet var påbegynt og planlagt sluttført i løpet av juni 2000. Det involverte materiellet i ulykken, Di3 lokomotivet og motorvogn BM 92, hadde begge ATC-utstyr installert. På de aller fleste banestrekninger i Norge er i dag ATC utbygd og stort sett alt NSB BAs materiell har ATC-utrustning ombord. En nærmere redegjørelse for den manglende ATC-utbygging på Rørosbanen er gitt i kap. 8.7.

4.2 Signalanlegget

Etter ulykken var det åpenbart at signalanlegget på Rørosbanen måtte undersøkes for å avdekke mulige feil eller svakheter i dette.

Hovedkomponentene i signalanlegget er fjernstyringsanlegget på Hamar togledersentral og sikringsanleggene på de enkelte stasjonene. I tillegg skal linjeblokken, se nærmere om begrepet nedenfor, sørge for at signalene ikke blir stilt slik at to tog kommer inn på samme strekning.

Nedenfor beskrives de ulike komponentene i signalanlegget mer i detalj. Først gis imidlertid en kort innføring i en del sentrale signaltekniske begreper.

4.2.1 Signaltekniske begreper

Signalanlegget på Rørosbanen består av følgende enheter:

Fjernstyringsanlegget er lokalisert til Hamar togledersentral hvor trafikken styres fra. Togleder gir ordre for togfremføringen via anlegget. Et fjernstyringsanlegg kalles også for CTC-anlegg (Centralised Traffic Control).

Sikringsanlegg er installert på den enkelte stasjon. Dette er den sentrale delen av signalanlegget. Det ivaretar forriglingsfunksjonene, se nedenfor.

Forriglingsfunksjonene i sikringsanlegget skal ivareta sikkerheten slik at togveier ikke kommer i konflikt med hverandre. Forriglingsfunksjonene definerer hvilke forutsetninger som må være oppfylte for at et tog skal kunne få klarsignal. Disse funksjonene kalles ofte for sikkerhetskritiske funksjoner . I eldre typer sikringsanlegg ble såkalte sikkerhetsreléer benyttet for å realisere sikkerhetsfunksjonene. Et sikkerhetsrelé er en forholdsvis dyr komponent, og bruken av sikkerhetsreléer i nyere anlegg er derfor redusert til fordel for datateknologi. En sikkerhetskritisk funksjon er konstruert slik at dersom en teknisk feil oppstår, føres reléet, og dermed sikringsanlegget, til en sikker tilstand. I jernbaneteknikken er en sikker tilstand en tilstand med rødt lys.

Lokale stillerapparater er plassert på den enkelte stasjon. Disse benyttes når stasjonen er lokalstyrt, dvs. i motsetning til fjernstyrt fra togledersentralen.

Ved inn- og utkjør ved stasjonene er forsignaler og hovedsignaler plassert. I tillegg finnes hjelpesignaler som togsporsignal, signal for middelkontroll mv. De enkelte signalene på Rudstad stasjon omtales nærmere i pkt. 4.4.1.

Sporveksler , med styreenheter og drivmaskin for vekslene, er installert i nordenden og sydenden av stasjonene. Ved å stille vekselen avgjør togleder om et tog skal passere stasjonen i hovedsporet eller om det skal kjøre inn i avviks- eller kryssingssporet. En veksel kan også betjenes lokalt.

Det er linjeblokker mellom stasjonene. Linjeblokkfunksjonen i sikringsanlegget har som oppgave å ivareta at bare ett tog ad gangen får adgang til en blokkstrekning. Sikringsanleggene i hver ende av strekningen samarbeider om å sikre at strekningen kun reserveres for ett tog ad gangen.

Et sporfelt er en elektrisk krets som gjør det mulig for sikringsanlegget å detektere belegg (tog) på en del av en strekning. Rørosbanen er spesiell på den måten at det ikke er sporfelter på strekningene mellom stasjonene. Fra et tog kjører ut fra en stasjon til det ankommer neste stasjon, er det derfor normalt ikke mulig for togleder å vite nøyaktig hvor på strekningen toget befinner seg. Unntaket er de steder hvor det er lagt ut egne deteksjonsfelt i forbindelse med planoverganger. I følge Jernbaneverket ble en løsning uten sporfelter valgt på Rørosbanen for å spare penger til utstyr og nødvendig kabling.

En halemagnet detekterer at hele toget har kommet inn på stasjonen, også kalt sistevognskontroll. Strekningen som toget kommer fra blir først frigjort når siste vogn i toget har kommet inn på det første sporfeltet på stasjonen. Det er en kraftig magnet som henger bakerst på siste vogn som utløser togvei bak toget.

Elektriske kabler forbinder de enkelte komponenter i signalanlegget. Det går separate kabler fra reléhuset på den enkelte stasjon til de enkelte enheter, dvs. til signaler, veksler og sporfelt. Videre går det en kabel som overfører kommunikasjonen mellom det enkelte sikringsanlegg og fjernstyringsanlegget på Hamar. Dette er en fiberoptisk kabel med avtappingspunkter for de enkelte stasjonene. Det går også en kobberkabel mellom sikringsanleggene på to nabostasjoner som inngår som en del av linjeblokksystemet.

4.2.2 Sikringsanlegg type NSB-87

Sikringsanlegget er som nevnt den sentrale delen av signalanlegget på Rørosbanen.

Det sikringsanlegget som er i bruk på Rørosbanen kalles NSB-87. Sikringsanlegget er beregnet for mindre stasjoner og er installert på hver stasjon på Rørosbanen mellom Hamar og Røros. Bortsett fra et fåtall installasjoner på Nordlandsbanen, er Rørosbanen den eneste banestrekning som bruker denne type sikringsanlegg.

NSB-87 ble utviklet av daværende NSB i samarbeid med en norsk leverandør, nåværende ABB, daværende SattControl AS. Leverandøren leverte datamaskinutrustning og kommunikasjonsløsninger. Jernbaneverket utviklet de jernbanespesifikke funksjonene i form av kretsløsninger for relékretsene. Jernbaneverket utviklet også den spesielle programvare som skulle til, se pkt. 4.2.2.1. Sikringsanlegget er bygget etter failsafe-prinsippet, dvs. at en eventuell feil i anlegget skal feile til sikker tilstand slik at lyssignalene viser rødt signal. Som nevnt er det sikkerhetsreléene som skal ivareta at prinsippet rent faktisk blir fulgt.

NSB-87 ble utviklet for å dekke behovet for enkle og billige sikringsanlegg på strekninger med lav trafikktetthet. Det vanligste sikringsanlegget i Norge da arbeidet med NSB-87 ble igangsatt, var NSI-63. Dette er et forholdsvis dyrt sikringsanlegg. En av grunnene til dette er bruken av sikkerhetsreléer. Målet til konstruktørene av NSB-87 var derfor å forenkle NSI-63 konseptet så mye som mulig, men uten å gå på akkord med sikkerheten. Den mest sentrale forenklingen var reduksjonen av antall sikkerhetsreléer. De funksjoner som ikke ble ansett som sikkerhetskritiske ble erstattet ved å innføre såkalt PLS-teknologi og ved å benytte bilreléer i linjeblokken.

4.2.2.1 Innføringen av PLS-teknologi

Det mest sentrale elementet i forenklingen av NSI-63 til et NSB-87 anlegg var som nevnt bruken av PLS-teknologi i funksjoner som ikke er sikkerhetskritiske. En viktig grunn til at man bestemte seg for bruken av PLS-teknologi i alle ikke-sikkerhetskritiske funksjoner var ønsket om et vesentlig billigere sikringsanlegg på Rørosbanen. Et eksempel på en ikke-sikkerhetskritisk funksjon er å slå sporvekselvarme av eller på. Denne funksjonen kan aktiveres fra togledersentralen vinterstid for å unngå at vekselen fryser fast i en stilling.

Kombinasjonen av PLS-teknologi og den gamle velprøvde teknologien med sikkerhetsreléer gjør sikringsanlegget av type NSB-87 til et hybridanlegg.

PLS står for Programmerbar Logisk Styring, og er en vanlig teknologi i industrielle styringssystemer. Begrepet er en fornorskning av det engelske PLC, Programmable Logic Control. Med PLS-teknologien ble datateknologi innført i signalanlegget. Et PLS-system er ikke annet enn en styreenhet, datamaskin med inn- og utganger, og et programmeringssystem. PLS-systemet skiller seg fra et vanlig datasystem ved programmeringsmåten. De industrielle styringssystemer skal kunne styre en prosess, basert på informasjon om tilstanden på parametre i prosessen. Det er ofte slik at verdien på flere parametre inngår i en logisk betingelse for hva som skal være styringssignalet til prosessen. Det er derfor laget programmeringsverktøy spesielt innrettet mot å programmere logiske betingelser. Dette programmeringsverktøyet er godt egnet til å programmere funksjonene i signalanlegg.

PLS-delen består av en sentral styreenhet. Denne er koplet til inngangskort som viser indikeringer av tilstanden på objekter som lyssignaler, veksler m.m. ute langs sporet. Dessuten er det utgangskort for ordregivning på stasjonen til de samme objektene. PLS-delen samvirker med sikkerhetsreléene som inngår i forriglingen for den enkelte stasjon.

PLS-delen ivaretar også datakommunikasjonen med fjernstyringsanlegget på togledersentralen. Data overføres til togledersentralen fra de aktuelle utgangene på PLS-en. Informasjonen sendes til togledersentralen over en standard kommunikasjonsprotokoll. Tilsvarende skjer overføring den andre veien til innganger på PLS-en.

Den kommunikasjonsprotokollen som brukes har innebygd i seg mekanismer for deteksjon av feil i telegrammet. Dette er gjort på den måten at det er definert hva som er gyldige telegrammer. De vanlig forekommende tekniske feil vil føre til at telegrammet endres til et ugyldig telegram. Protokollen er nærmere analysert, jf. SINTEFs rapport kap. 3.4.2. Rapporten er inntatt som vedlegg 4.

4.2.2.2 Svakheter avdekket av Jernbaneverket

Etter at anleggene på Rørosbanen ble satt i drift er det kommet frem flere uheldige sider og svakheter ved sikringsanleggets konstruksjon. Jernbaneverket fikk ved årsskiftet 1999/2000 i forbindelse med ATC-utbyggingen, et notat fra eget teknisk personell, herunder konstruktøren av sikringsanlegget, hvor svakheter var påpekt. I følge forfatterne av notatet var disse svakheter tidligere påpekt og således kjent i Jernbaneverket før ulykken, jf. pkt. 4.2.2.5.

Hvilke svakheter og uheldige sider det dreier seg om er nærmere behandlet i SINTEFs rapport, Appendix D1. De identifiserte svakheter som kan betraktes som sikkerhetsfarlige gjengis likevel her:

• Magasinering av togveier for kryssing og tiden en stasjon skal være «låst» for kryssing, behandles i fjernstyringsanlegget. Dersom fjernstyringsanlegget feiler, kan togveisordrene bli feilsendt og iverksatt med en gang. Dette kan skje uavhengig av om en kryssing er ferdig utført. Det vil si at neste togvei kan bli sikret før man kan anta at først ankommende tog har stanset.

• Dersom feil skjer i den PLS-styrte rødlyskontrollen, se nærmere pkt. 4.6.1.2, samtidig med at en stasjon sender anmodning om setting av linjeblokken, vil det bare være PLS-en som hindrer setting av klarsignal. I verste fall vil en slik feilsituasjon føre til feilaktig klarsignal i opptil tre sekunder. Det vil si at det kan forekomme perioder på opptil tre sekunder med både rødt og grønt lys.

• Det er mulig å sette innkjør til ett spor og utkjør i samme retning fra et annet spor. Dette kan skje når det er en avhengighet til et veibomanlegg og veibommen ikke går til senket posisjon.

• PLS-en skal hindre gjentatt legging av togveier i samme retning, såkalt gjentakelsessperre. Dette er en sikkerhetskritisk funksjon som burde ligge utenfor PLS-en.

• For å unngå at det blir satt klarsignal samtidig på nabostasjoner ved skifteoperasjoner bør det være et eget sporfelt over en kort strekning utenom innkjørsignalene.

I tillegg til disse sikkerhetsfarlige svakhetene er det identifisert en rekke konstruksjonssvakheter som kan gi uheldig, men ikke sikkerhetsfarlig oppførsel.

De erfaringer som er gjengitt ovenfor er erfaringer NSB og senere Jernbaneverket selv har høstet etter at de første anlegg av type NSB-87 ble satt i drift tidlig på 1990-tallet. Erfaringene er likevel ikke fortløpende systematisert og behandlet i NSB og Jernbaneverket med sikte på en forbedring av anleggene. Dette er meget alvorlig når svakhetene i visse situasjoner kan ha betydning for sikkerheten i togfremføringen.

Kommisjonen er således overrasket over, og meget kritisk til, at et sikringsanlegg kan være i bruk med svakheter av et slikt omfang og i en slik alvorlighetsgrad, uten at noe har vært igangsatt for å vurdere og eventuelt utbedre forholdene. Under Kommisjonens høringer i Oslo 22. mars 2000, nesten tre måneder etter ulykken, fremkom det at informasjonen som Jernbaneverket selv hadde fremskaffet om svakhetene i sikringsanlegget, ennå ikke var gjort kjent for sakkyndig leder signal i Jernbaneverket region Øst, Gunnar A. Flåm. Flåm er signalteknisk ansvarlig for signal- og sikringsanlegget i regionen, herunder for anlegget på Rudstad stasjon.

4.2.2.3 Svakheter avdekket av SINTEF

I tillegg til de sikkerhetsfarlige forhold Jernbaneverket selv har avdekket i NSB-87, har SINTEF i forbindelse med sine undersøkelser avdekket ytterligere svakheter som er beskrevet i SINTEFs rapport, Appendix D2. Kommisjonen har spesielt merket seg følgende sikkerhetskritiske svakheter vedrørende NSB-87:

• Det samme reléet er brukt til flere funksjoner i linjeblokksystemet til tross for at linjeblokken ivaretar sikkerhetskritiske funksjoner. Dette reduserer sikkerheten i forhold til NSI-63 som bruker separate reléer for hver funksjon.

• Logging av hendelses- og systemtilstand skjer bare i fjernstyringsanlegget. Dersom det er en feil i overføringen mellom sikringsanlegget og fjernstyringsanlegget vil data om tilstanden i sikringsanlegget gå tapt.

• I dag kontrolleres gyldigheten av en ordre bare i fjernstyringsanlegget på Hamar. En tilsvarende kontroll burde også skje lokalt i det enkelte sikringsanlegg ute på stasjonene.

• I grensesnittet mot linjeblokken er det brukt enkle bilreléer. Disse er riktignok robuste reléer, men ikke sikkerhetsreléer. Funksjonene som linjeblokken utfører er å betrakte som sikkerhetskritiske og derfor bør sikkerhetsreléer anvendes.

• Det er ikke individuell merking på de enkelte ledere. Dette kan være et problem under vedlikehold og har forårsaket farlige feil i andre anlegg. Uten slik individuell merking stilles store krav til vedlikeholdspersonalets kompetanse.

• PLS-en er for dårlig sikret mot uregelmessigheter i spenningsforsyningen. Dette kan være raske spenningspulser eller varige over- og underspenninger.

• PLS-en er for dårlig sikret mot uautorisert adgang. Siden den er plassert i første rom i reléhuset, er det alt for mange personer som har nøkler og adgang til anlegget.

• Det er avdekket avvik i tegningene for sikringsanlegget på Rudstad stasjon sammenlignet med hvordan forholdene i virkeligheten var.

Etter hvert som de ovennevnte svakheter ved sikringsanlegget ble avdekket, fremstod det som åpenbart for Kommisjonen at feilretting i anlegget ikke vil være tilstrekkelig til å ivareta sikkerheten. Kommisjonen kontaktet derfor Samferdselsdepartementet 12. september 2000 og anbefalte en fullstendig reengineering av sikringsanlegget på Rørosbanen før det igjen blir satt i normal drift. Brevet er inntatt som vedlegg 2.

En slik reengineering bør gjennomføres før ATC installeres. Reengineeringen bør omfatte nødvendige risikoanalyser og utarbeidelse av en komplett sikkerhetsdokumentasjon hvor bl.a. det granskningsarbeid som er gjennomført på konstruksjonsløsningene inngår.

4.2.2.4 Systemdokumentasjon

SINTEF har etter gjennomgang av systemdokumentasjon påpekt at denne har store mangler. Relélogikken er dokumentert tilfredsstillende selvom skjemaene er vanskelige å lese. For relékontaktene finnes ikke referanser til hvor reléspolen er vist. En overordnet beskrivelse av funksjonalitet og operasjonsfilosofi er helt fraværende i den dokumentasjon som finnes. Det mangler komplett dokumentasjon over hvordan PLS-delen i de enkelte anlegg er oppbygget, og fragmenter finnes i begrenset grad i lærestoff og tekniske notater. PLS-programmene er derimot tilfredsstillende dokumentert.

Det er ikke i tilstrekkelig grad utviklet egne prosedyrer og rutiner for håndtering av systemet. Det mangler eksempelvis prosedyrer for driftsprøving. Videre mangler klare rutiner for hva slags kontroller som skal utføres etter feilretting og endringer.

Det er generelt sett viktig at systemdokumentasjon er komplett, da det i fremtiden må forventes raskere endringer både i teknologien og innad i virksomheten. Jernbaneverket bør derfor i mindre grad basere seg på egne ansattes tidligere erfaringer.

4.2.2.5 Kommisjonens vurdering av NSB-87

Den metodikk som er benyttet for konstruksjon av sikringsanlegget av type NSB-87 holder etter Kommisjonens oppfatning ikke mål etter dagens krav. Metodikken er typisk for den metode som ble brukt ved konstruksjon av reléanlegg, og som jernbaneforvaltninger i mange land da hadde benyttet i flere år. Det problematiske med denne metodikken er at den ikke er egnet til å ivareta sikkerhetsaspekter innen data- og PLS-teknologi. I dag, med større fokus på datamaskinstyring, elektronikk og programvare, er metoden som brukes ved konstruksjon og ibruktaking av nye typer sikringsanlegg vesentlig bedret, også i Jernbaneverket. Dette har imidlertid ikke ledet til en oppgradering av NSB-87.

NSB-87 har svært mange og alvorlige svakheter. Kommisjonen stiller seg som tidligere nevnt meget kritisk til at disse svakhetene ikke har vært fulgt opp på noen systematisk måte fra det tidligere NSB og nå Jernbaneverkets side. Det er Kommisjonenes inntrykk at systemkonstruktørene og øvrig teknisk personale i Jernbaneverket har vært svært oppgitt over den manglende evne til registrering og korrigering av de påpekte svakheter. Jernbaneverkets uhellskommisjon har i delrapport 2 etter Åsta-ulykken inntatt et notat av 1. februar 2000 fra overingeniør Kjell Henriksen, konsulent Jostein Schjølberg og avdelingsingeniør Roar Gravdahl i Jernbaneverket, tidligere referert til i pkt. 4.2.2.2, hvor det bl.a. står:

«De feilene som er påpekt er imidlertid etter vårt syn til dels alvorlige, og burde vært rettet så snart de ble oppdaget alle feilene har man kjent til fra før, både i Hovedkontoret og til dels i Region Nord. Feilene er påpekt muntlig etter hvert som de ble oppdaget, men det har ikke vært noen samlet fremstilling av det totale omfang. Dette kan kanskje leverandøren klandres for.

Siden to av underskriverne har vært ansatt i Baneservice og som sådan vært leverandør, må det påpekes at problemet har vært tatt opp ved flere anledninger og det er bedt om en gjennomgang av hva som skal gjøres. Henvendelsene har ikke ført fram, da det ikke har vært noen prioritert oppgave i budsjettene. Etter vårt syn har ikke Jernbaneverket de senere årene hatt en organisering som er i stand til å håndtere slike oppgaver. Ansvaret er de senere årene skjøvet ut fra teknisk kontor Hovedkontoret og til regionene. Disse er ofte små, mangler teknisk kompetanse på detaljnivå og har ikke egne budsjetter til å gjennomføre slike endringer som her er nødvendig.

En forsømmelse som her er vist hadde vært utenkelig så lenge den gamle organisasjonen eksisterte».

Etter Kommisjonens vurdering er den samlede mengde svakheter ved NSB-87 så stor at Rørosbanen ikke bør gjenåpnes for normal drift før det er foretatt en full reengineering av anlegget.

4.2.3 Oppsummering

Som gjennomgangen i kap. 4.1 og 4.2 viser er det flere forhold ved infrastrukturen på Rørosbanen som gjør at banestrekningen skiller seg fra andre banestrekninger i Norge:

• Rørosbanen mangler ATC og togradio.

• Det sikringsanlegget som er brukt på Rørosbanen har mange svakheter. Flere av svakhetene var kjent i Jernbaneverket da ulykken skjedde. I tillegg har Kommisjonen identifisert ytterligere svakheter.

• Det er ikke sporfelter mellom stasjonene, noe som gjør at togleder ikke vet hvor et tog befinner seg på en strekning mellom to stasjoner.

• Det er benyttet et spesielt sikringsanlegg hvor PLS-teknologi er tatt i bruk. Man har imidlertid ikke klart å leve opp til de kvalitetskrav som kreves for denne type teknologi i et sikringsanlegg.

• Et sikringsanlegg av den type som er på Rørosbanen krever en omfattende dokumentasjon. Den eksisterende dokumentasjonen er svært mangelfull.

Jernbaneverket har etter Åsta-ulykken laget et kart som viser hvilke barrierer mot feilhendelser i togfremføringen som finnes på de enkelte banestrekninger i Norge. Av dette kartet, som er vist i figur 8.4, fremgår det tydelig hvordan Rørosbanen skiller seg negativt ut.

4.3 Hamar togledersentral

Signal- og sikringsanlegget på strekningen Hamar – Røros, fjernstyres som nevnt fra Hamar togledersentral. Bruken av PLS-teknologi også i fjernstyringsanlegget på Rørosbanen gjør at dette anlegget ofte kalles PLS-CTC.

Fjernstyringsanlegget på togledersentralen består av betjeningsutstyr og teknisk utstyr. Betjeningsutstyret er plassert ved operatørplassen til den togleder som har ansvaret for togledelsen på Rørosbanen. Betjeningsutstyret består av et numerisk tastatur for ordregivning og to dataskjermer som gir togleder et samlet oversiktsbilde over banestrekningen Hamar – Røros. Videre er det to skjermer hvor detaljbilde for den enkelte stasjon kan hentes frem.

Figur 4.1 viser operatørplassen til togleder på Hamar togledersentral med ansvar for Rørosbanen. De to skjermene med oversiktsbilde har togleder rett foran seg, mens detaljskjermene ses til høyre på bildet. Tastaturet for ordregivning er plassert på pulten foran togleder.

Kilde: Foto fra Jernbaneverket

På oversiktsskjermene får togleder informasjon om toggangen og om signalstatus på den enkelte stasjon. I forbindelse med kryssing henter togleder normalt frem detaljbilde for den stasjon hvor kryssingen skal foregå, slik at han enkelt kan se at signaler og veksler er riktig stilt. Figur 4.2 viser ett oversiktsbilde for strekningen Hamar – Tolga og figur 4.3 ett detaljbilde for Løten stasjon. Det presiseres at den viste signalsituasjon ikke gjelder togfremføringen ulykkesdagen.

Kilde: Foto fra Jernbaneverket

Kilde: Foto fra Jernbaneverket

Det tekniske utstyret er plassert i et eget teknisk rom. Dette omfatter datateknisk utstyr og utstyr for kommunikasjon med de enkelte stasjoner på strekningen. Her er også loggutstyret for hendelsesloggen plassert.

Arbeidsforhold, regler og rutiner ved Hamar togledersentral er omtalt i kap. 6.2.

4.3.1 Ordregivning

Togleder kan ved å taste inn en sifferkode på tastaturet, gir ulike ordre gjennom fjernstyringsanlegget fra sin operatørplass. De viktigste ordrene knytter seg til selve togfremføringen. Det er togleders oppgave å avgjøre hvilket tog som skal få klarsignal for videre kjøring. Dersom ordren ikke kommer i konflikt med andre ordre eller annen toggang vil sikringsanlegget effektuere ordren.

Togleder kan gi ulike typer ordre i forbindelse med togfremføring. For det første kan togleder legge togveier . En togvei er en indikasjon til sikringsanlegget om hvor langt og hvordan togleder mener at et tog skal kjøres videre. Etterhvert som det sikkerhetsmessig tillates, vil sikringsanlegget sette signaler for toget i henhold til den informasjon om satt togvei som togleder har gitt. Sikringsanlegget gir ikke klarsignal for kjøring lenger enn togvei er satt, og togveien kan ikke effektueres dersom den ikke er fri for annet materiell. Ulykkesdagen hadde togleder i følge hendelsesloggen lagt togvei inn til Rudstad stasjon for nordgående tog.

Togleder kan også legge stasjoner på gjennomgangsdrift . Ved å gjøre dette stilles signalene automatisk foran toget etterhvert som det nærmer seg stasjonen, så sant det er fri togvei. Når toget kommer til stasjonen, vil togvei automatisk settes frem til neste stasjon. For sydgående ulykkestog hadde togleder i følge hendelsesloggen lagt Rena stasjon på gjennomgangsdrift.

Videre kan togleder sperre eller frigi linjeblokker ved å sende ordre om det. En sperret linjeblokk kan ikke belegges av tog, dvs. at man ikke kan legge togveier inn over en sperret linjeblokk. Etter ulykken ga togleder ordre om sperring både nord og syd for ulykkestedet for å sikre at ikke ytterligere tog kom inn på strekningen, jf. pkt. 3.4.7.

I tillegg kan togleder magasinere ordre . Det betyr at utførelsen av ordren ikke skjer med det samme ordren gis, men legges i magasin og gjennomføres når det sikkerhetsmessig tillates. Dette overvåkes av sikringsanlegget. Magasinering gir togleder mulighet til å forberede en togbevegelse og sette togvei i fred og ro, for så å overlate til automatikken å effektuere ordren. Togleder hadde ulykkesdagen magasinert ordre for innkjør sydfra på Rudstad, før han konsentrerte seg om strekningen Hamar – Eidsvoll som han også hadde ansvaret for.

De ordre som ble gitt for ulykkestogene er vist i tabell 4.1. Rekkefølgen de ble gitt i kommer Kommisjonen tilbake til i kap. 4.5.

En ordre består av fire siffer. De to første sifrene angir stasjonen ordren gjelder for, mens de to siste angir selve ordren. I ordregivningen har Rudstad stasjonsnummer 53 og Rena stasjonsnummer 54.

4.3.2 Feilmeldingfunksjonen

Feilmeldingfunksjonen på togleders skjerm varsler eller indikerer uregelmessigheter i den enkelte utstyrsdel på den enkelte stasjon. Dette skjer ved at fjernstyringsanlegget får indikasjoner fra de relevante PLS-utganger i sikringsanlegget. Varslet fremgår som en rød eller gul skrift i et sort felt og er markert med et lite blinkende felt foran teksten. Skriften er 16 millimeter høy og fremkommer nederst på skjermen, se figur 3.7 og 4.2.

Varslet kan gjelde ordinære driftsforstyrrelser, som at en veibom blir liggende nede etter at et tog har passert planovergangen. Et sikkerhetskritisk forhold som at et tog har passert et signal i stopp gir ingen feilmelding. Det var det forhold at sporveksel 2 ble kjørt opp som utløste feilmeldingen 4. januar. Det er som tidligere nevnt ikke installert noen lydalarm til markeringen eller varslet som kommer opp. Dette gjelder også sikkerhetskritiske forstyrrelser eller uregelmessigheter i anlegget som raskt krever togleders oppmerksomhet. I kap. 8.8 behandles manglende lydalarm på Hamar togledersentral nærmere. Bare to av i alt åtte togledersentraler i Norge har lydalarm installert.

4.3.3 Hendelsesloggen

Hendelsesloggen gir indikasjoner på de ulike stillinger i signal- og sikringsanlegget i forbindelse med fremføringen av de to ulykkestogene.

Hendelsesloggen registrerer hendelser, ordre og alarmer eller feilmeldinger . Logging av en hendelse skjer når signalene endrer status. Dette skjer innen to sekunder etter at en komponent har endret status ute på stasjonen, forutsatt at kommunikasjonen mellom sikringsanlegget på stasjonen og fjernstyringsanlegget på Hamar fungerer normalt.

Alarmer eller feilmeldinger genereres i fjernstyringsanlegget etter en forhåndsdefinert liste over situasjoner som skal varsles på togleders skjerm. En slik situasjon er f.eks. manglende vekselkontroll som togleder fikk opp på sin skjerm ulykkesdagen, jf. pkt. 3.4.6.

Loggingen av hendelser i fjernstyringsanlegget skjer på to individuelle PC-er slik at de samme data logges på to ulike filer. Disse PC-ene befinner seg i det tekniske rommet på Hamar togledersentral. Hendelseslogg kan skrives ut for de siste syv døgn og for hver enkelt stasjon på Rørosbanen. Etter syv døgn vil nye data skrive over tidligere lagrede data. Et begrenset uttak av hendelseslogg, slik Jernbaneverkets uhellskommisjon gjorde 4. januar, innebærer at man ikke vil kunne studere hendelseslogg for annet enn den periode og de stasjoner det ble tatt ut logg for.

Når det gjelder loggens pålitelighet har så vel SINTEF som Kommisjonen undersøkt denne. I hendelsesloggen logges et grønt signal, men ikke et rødt. Ved å gjennomgå hendelsesloggen kan man derfor med stor sikkerhet konstatere om det har vært gitt et grønt signal. Konstruktørene har imidlertid ment at signalet har vært rødt dersom det ikke har vært logget grønt. Faktum er imidlertid at man ikke kan skille mellom et rødt signal og et slukket signal ved å studere loggen, med mindre pæren i signalet har gått. Det gis feilmelding når pæren i det røde signallyset har gått, og en slik feilmelding logges, jf. pkt. 4.6.1.2.

Loggen skiller ikke mellom et grønt signal fra hovedspor og fra avviksspor. Togleder vil se hvilket spor det gjelder ved å se hvilke togveier som er lagt på stasjonen.

Det presiseres at undersøkelsene har vist at hendelsesloggen ikke registrerer eventuelle kortvarige blink som måtte oppstå i lyssignalene. Med kortvarig blink forstås blink med en varighet på fra ett til fem sekunder.

Det er ikke funnet inkonsistenser i hendelsesloggen, bortsett fra to ordre togleder Per Arne Nilsen i avhør med Kommisjonen og politiet har forklart at han slo inn ulykkesdagen like før han gikk av vakt kl. 12.55. I følge hendelsesloggen ble gjennomgangsdrift for Rena lagt inn kl. 12.26.15 (loggtid). Nilsen har forklart at denne ordren ble trukket tilbake like etterpå gjennom en ny ordre. Denne ordren, hvor gjennomgangsdrift på Rena trekkes tilbake, fremgår imidlertid ikke av hendelsesloggen.

Den andre ordren, som heller ikke fremkommer i hendelsesloggen, er en ny ordre om gjennomgangsdrift på Rena stasjon. Toglederne Nilsen og Nybakken har begge forklart at gjennomgangsdrift for Rena ble lagt inn litt før kl. 13.00 i forbindelse med vaktskiftet.

Thor Haug, medlem i Jernbaneverkets uhellskommisjon, har via e-post sendt et brev til Kommisjonen 9. oktober 2000. Haug var som nevnt i kap. 3.12 på Hamar togledersentral om ettermiddagen og kvelden ulykkesdagen, og møtte Nilsen da han kom tilbake på togledersentralen om kvelden 4. januar for å tjenestegjøre om natten. Haug har i brevet skrevet at togleder Nilsen ulykkesdagen fortalte ham at han hadde bøyd seg over togleder Nybakken og koblet inn igjen gjennomgangsdrift på Rena. Nilsen antok at klokken da var noen minutter på halv ett. I følge hendelsesloggen ble som nevnt gjennomgangsdrift lagt inn 12.26.15 (loggtid).

Kommisjonen har vært i kontakt med toglederne Nilsen og Nybakken etter at den fikk oversendt brevet fra Haug. Begge fastholdt at gjennomgangsdrift for Rena ble lagt inn i forbindelse med vaktskiftet. De har forklart at vaktskiftet ble gjennomført i tidsrommet fra kl. 12.45 til 12.55 ulykkesdagen. Det foreligger således en uoverensstemmelse mellom de to togledernes forklaringer og hendelsesloggen fra 4. januar.

SINTEF har på anmodning fra Kommisjonen gransket hendelsesloggen for 4. januar og hendelsesloggen i forbindelse med rekonstruksjonen 10. februar 2000, jf. pkt. 4.6.1.11. Hendelsesloggen fra 4. januar 2000 er også sammenlignet med ferdskriveren fra nordgående ulykkestog.

Begge de to hendelsesloggene gir et komplett og konsistent bilde av de hendelser, ordre og alarmer eller feilmeldinger som loggen er konstruert for å registrere. Som nevnt logges tilstandene i sikringsanlegget i to ulike PC-er. De samme data er logget i begge de to PC-ene. Alle tilstander som er logget korresponderer med de opplysninger man har vedrørende togenes fremføring. Tidspunktene for de tilstander som er logget i forbindelse med nordgående togs fremføring stemmer med data fra togets ferdskriver.

Det ble imidlertid avdekket at når to ordre sendes med svært korte mellomrom kan det forekomme at den ene ikke blir logget. Dette skjedde under rekonstruksjonen 10. februar på en av PC-ene som logger.

Kommisjonen kan derfor ikke med full sikkerhet slå fast at loggen er helt pålitelig. Loggens pålitelighet kan heller ikke undersøkes nærmere ved hjelp av hendelsesloggen fra 4. januar, fordi det bare ble sikret hendelseslogg for Rudstad og Rena stasjoner. Det er derfor ikke mulig å kontrollere om togleder Nilsen kan ha sendt en av de to ordrene til feil stasjon ved å slå feil stasjonsnummer.

Det understrekes at de to ordrene som, i følge togleder Nilsen skal ha blitt sendt ulykkesdagen og som ikke fremgår av hendelsesloggen, ikke har betydning for signalgivningen til de to ulykkestogene. Det forhold at disse ikke fremkommer på hendelsesloggen har kun betydning for vurderingen av loggens pålitelighet.

Kommisjonen har ovenfor pekt på de usikkerhetsmomenter som er knyttet til loggens pålitelighet. Kommisjonen har, som SINTEF, allikevel etter en samlet vurdering lagt til grunn at loggen er pålitelig og at den logger de hendelser, ordre og alarmer eller feilmeldinger den er konstruert for å logge. De to ordre som togleder Nilsen med delvis støtte fra togleder Nybakken har forklart at ble sendt, men som ikke er logget, kan forklares med at de er sendt til feil stasjon. Det kan også være slik at de to toglederne husker feil, enten med hensyn til tidspunktet for når ordrene ble sendt eller hvor ordrene ble sendt. At ordren hvor gjennomgangsdrift ble tatt tilbake ikke er logget, kan også skyldes at den ble sendt like etter at gjennomgangsdrift var lagt inn.

4.4 Rudstad stasjon

For å forstå hvilke signaler en lokomotivfører må forholde seg til ved gjennomkjøring av Rudstad stasjon, og hvilke enheter i signal- og sikringsanlegget som er undersøkt i forbindelse med Kommisjonens arbeid, kan det være hensiktsmessig med kjennskap til forholdene på Rudstad stasjon og hvorledes de fremstod ulykkesdagen. Når det er forholdene ved Rudstad stasjon og ikke Rena som fremstår som interessante, skyldes det at både hendelseslogg og vitneutsagn tilsier at en teknisk feil i signalanlegget eller en førerfeil må knytte seg til Rudstad stasjon.

De tekniske prøvene som ble utført etter ulykken og den tekniske undersøkelsen som SINTEF har utført på oppdrag fra Kommisjonen, er derfor i hovedsak orientert mot signal- og sikringsanlegget på Rudstad.

4.4.1 Oversikt over stasjonen

Rudstad stasjon er en vanlig tosporet stasjon med et veibomanlegg i sydlig ende nær plattformen og en usikret planovergang i stasjonens nordlige ende. Det er på Rørosbanen lagt opp til kryssing mellom tog på stasjonene. I sydlig og nordlig ende av stasjonen er det sporveksler, henholdsvis sporveksel 1 og sporveksel 2, slik at ett av de to kryssende tog kan ledes inn i avviksspor.

Stasjonen er rett, men ganske lang. Plattformen er lokalisert langt syd på stasjonen og her er det satt opp togsporsignal for kjøring nordover. Disse er avledet av utkjørssignalet og gir derfor lokomotivfører en klar indikasjon på hva utkjørssignalet viser. Togsporsignal er helt nødvendig på stasjoner hvor man ikke kan se utkjørssignalet fra den posisjon toget stopper. Slik er f.eks. situasjonen på Rena stasjon, hvor utkjørssignalet ikke kan ses fra det sted hvor togstopp for av- og påstigning foretas. På Rudstad stasjon er både togsporsignal og utkjørssignal synlig fra perrongen.

Rudstad er en lite trafikkert stasjon og alle tog har ikke ordinært stopp for av- og påstigning på stasjonen. Nordgående ulykkestog hadde i følge ruteplanen ordinært stopp, mens det sydgående toget ikke hadde det. Det er bare en plattform på Rudstad stasjon og således bare mulig å foreta av- og påstigning i tilknytning til hovedsporet. Under Kommisjonens høringer fremkom at det sjelden er passasjerer som skal av eller på ved Rudstad. Stasjonen er ubetjent.

Rudstad stasjon er utstyrt med de samme signaler som man finner på de øvrige stasjonene på Rørosbanen og for så vidt på andre banestrekninger i Norge. De viktigste signalene for kjøring nordover gjennom stasjonen er gjengitt i tabell 4.2. Signalenes plassering på stasjonen er vist i figur 4.4. Videre viser figur 4.5–4.10 detaljbilder av de ulike signaler, og av reléhuset.

Kilde: SINTEF

Kilde: Foto fra Jernbaneverket

Kilde: Foto fra Jernbaneverket

Kilde: Foto fra Jernbaneverket

Kilde: Foto fra Jernbaneverket

Kilde: Foto fra Jernbaneverket

Kilde: Foto fra politiet/Kripos

Kilde: Foto fra politiet/Kripos

4.4.2 Endringer i anlegget mv.

4.4.2.1 Driftsprøve

Det har ikke vært mulig å oppspore prøveprotokoll fra idriftsetting av sikringsanlegget på Rudstad stasjon. Kommisjonen antar at driftsprøve ble gjennomført og at protokollen senere er blitt borte. Det er imidlertid både kritikkverdig og svært merkelig at Jernbaneverket ikke har et arkivsystem hvor denne type sentrale sikkerhetsdokumenter er arkivert.

Kommisjonen påpeker også at det i oktober 2000 fortsatt ikke er utferdiget en egen driftsprøveprotokoll tilpasset NSB-87. Dessuten synes det som om NSB-87 er helt uteglemt i Jernbaneverkets tekniske regelverk.

4.4.2.2 Feilretting

Normal feilretting i sikringsanlegget på Rudstad loggføres av Jernbaneverket. Aktiviteten dokumenteres i den enkelte teknikers rapportering og legges deretter inn i Banedatabanken (BDB). BDB er Jernbaneverkets informasjonssystem når det gjelder status i det enkelte anlegg på jernbanenettet. Ved hjelp av den loggførte informasjonen vil man kunne få oversikt over all feilretting utført i tilknytning til det enkelte anlegg. Kommisjonen har foretatt en gjennomgang av hvilken type vedlikehold som er gjennomført og omfanget av dette, slik det er dokumentert i BDB. En slik gjennomgang av feilrettingsdatabasen for Rudstad har imidlertid ikke gitt noen spesielle indikasjoner.

4.4.2.3 Inspeksjon og kontroll

For å hindre at deler i signal- og sikringsanlegget slites og derigjennom reduserer påliteligheten til anlegget på en stasjon, er det nødvendig at det utføres regelmessige inspeksjoner og revisjoner. Det foreligger rapport over 3-årlig revisjon av Rudstad stasjon. Det vises til SINTEFs rapport kap. 3.5.1 hvor denne er nærmere behandlet. Revisjonen ble utført 11. mars 1997. Reservestrømsaggregatet ble kontrollert 28. desember 1999 uten at det ble påpekt unormale forhold.

4.4.2.4 Endringer

I tillegg til vanlig feilretting er det over tid utført endringsarbeider på Rustad. De endringer som er utført i NSB-87 i 1999, er:

• Oppgradering av PLS-en til år 2000 kompatibilitet, utført 22. mars 1999. Arbeidet bestod i å oppgradere systemprogramvare og -maskinvare for PLS-ene i sikringsanleggene.

• Endringer for resetting av modem. Endringen ble foretatt 6. desember 1999. Den enkelte stasjon har et modem for kommunikasjon med fjernstyringsanlegget. Dette modemet hadde tidligere en tendens til å falle ut. Resetting kan nå skje automatisk fra Hamar, dersom en stasjon ikke svarer på anrop over en periode på mer enn tre minutter.

• Endring for montasje av sveivskap gjort 6. desember 1999. Et sveivskap er et skap for oppbevaring av en sveiv for manuell operasjon av sporvekslene. Endringen som ble utført omfattet innlesing av sveivskapstatus, og i den forbindelse ble det lagt inn en temporær ledning. SINTEF har på Kommisjonens anmodning vurdert denne ledningen, og kan ikke se at den har hatt betydning for ulykken eller ulykkesforløpet. Se nærmere SINTEFs rapport kap. 3.5.5.

Fra sikringsanlegget på Rudstad ble satt i drift og frem til 1999, er det i følge informasjon Kommisjonen har mottatt fra Jernbaneverket bare utført en endring. Det var innkopling av reservestrømaggregat.

Endringene beskrevet ovenfor er kontrollert ved funksjonsprøving som er vanlig prosedyre ved kontroll av endring. Endringene er dokumentert, enten gjennom programlisting eller ved endring av tegninger. De endringer som er utført gjelder enkle og oversiktlige forhold. Kommisjonen kan ikke se at endringene kan ha hatt betydning for ulykkesforløpet. En eventuell feil ved disse endringene ville vist seg umiddelbart og ført til at signalene, i overensstemmelse med failsafe-prinsippet, ville vist rødt. Oppgraderingen til år 2000 kompatibilitet var en standard oppgradering for datamaskinkomponentene i anlegget som heller ikke kan ses å ha hatt betydning for ulykkesforløpet.

Etter gjennomgang av endringsdokumentasjonen mener Kommisjonen at kvalitetssikringen av slikt endringsarbeid ikke er tilfredsstillende. Normal prosedyre bør være at endringen granskes og at dette dokumenteres tydelig. Det må komme klart frem i prosedyrene i hvilke tilfeller det er tilstrekkelig med en enkelt prøve, og når det skal gjennomføres en fullstendig driftsprøve etter endringen.

Det mangler eksplisitt dokumentasjon av de endringer som er gjort i anlegget. Dette gjelder bl.a. detaljer om konstruksjonsmessige forhold i anlegget som er endret.

Konsekvensen av den mangelfulle dokumentasjonen for anlegget som tidligere i rapporten er påpekt, er at man ikke systematisk kan undersøke et anlegg over tid og kontrollere hvordan endringer er utført. Kommisjonen vet derfor ikke om den enkelte endring er kontrollert mot utilsiktede sideeffekter.

4.4.3 Aktiviteter og hendelser før ulykken

4.4.3.1 Skader på sporveksel 2

Den 30. desember 1999 ble sporveksel 2 på Rudstad stasjon skadet i forbindelse med at en sporrenser sporet av på planovergangen ved sporvekselen. Sporrenseren ble trukket av en arbeidsmaskin, en robel . De skader som oppstod knyttet seg til en avstandskloss og noen klemskruer. Skadene var av rent mekanisk karakter. I tillegg ble det et slagmerke foran på vekselens tungespiss. Skadene ble utbedret samme dag. Kommisjonen har vurdert utbedringsarbeidet og mener det er tilfredsstillende utført.

En inspeksjon av ovennevnte arbeid ble gjennomført av tekniker Arve Johansen i Jernbaneverket region Øst ulykkesdagen. Inspeksjonen skjedde like etter at nordgående ulykkestog hadde passert Rudstad stasjon. Johansen har til Kommisjonen forklart at inspeksjonen var en overflatisk kontroll av det arbeidet som var utført, fordi utbedringsarbeidet var foretatt av ansatte i region Nord.

Beskrivelse av skadene etter avsporingen 30. desember og bilder av disse har blitt vurdert av Banverket i Sverige ved Bertil Eriksson, oppnevnt som sakkyndig av Kommisjonen for å vurdere tilstanden i sporveksel 2. Han har i forhold til avsporingen konkludert med at:

«Den skada som beskrivs från urspårningen den 30 december 1999 anser vi ej har någon koppling till den nu aktuella olyckan pga att anläggningen vid det tilfellet besiktigats och konstaterats funktionsduglig».

Avsporingen og aktiviteten i forbindelse med skadeutbedringen og reparasjonen av denne kan således ikke antas å ha hatt betydning for ulykken, da ingen deler av det elektriske anlegget ble berørt, hverken i forbindelse med avsporingen, utbedringsarbeidet eller kontrollen av dette.

Det vises for øvrig til pkt. 4.6.1.1.2, hvor tilstanden i sporveksel 2 etter ulykken nærmere behandles.

4.4.3.2 Andre aktiviteter

I tillegg til inspeksjonen av sporveksel 2, var det ytterligere aktivitet ved Rudstad stasjon ulykkesdagen og dagen før.

For det første ble det gjennomført sporrensing og snørydding ved planovergangen på stasjonen om formiddagen 4. januar. De to ansatte i Jernbaneverket som utførte denne snøryddingen, avdelingsingeniør Lars Øverby og banearbeider Håkon Ingstad, har forklart seg for Kommisjonen. Arbeidet foregikk uten bruk av skinnegående arbeidsmaskin, og aktiviteten kan ikke ses å ha hatt betydning for ulykken. Noen skade på sporfelter eller kabler er ikke observert, og annen innvirkning på det elektriske anlegget er det ikke mulig å ha herfra.

Videre var det aktivitet ved nødstrømsaggregatet 3. januar og om formiddagen 4. januar. Fagarbeider Asle Hornset i Jernbaneverket region Øst og spesialarbeider Kjell Bordvik i Baneproduksjon Øst, utførte denne aktiviteten. Hornset har til politiet forklart at han foretok en visitasjon i huset hvor nødstrømsaggregatet på Rudstad er plassert, for å se hvordan arbeidet med å feste en støttebrakett for luftinntaket til aggregatet var utført. Visitasjonen ble foretatt fordi det skulle gjøres tilsvarende arbeid andre steder. Denne aktiviteten kan ikke ses å ha hatt betydning for ulykken, da det ikke ble gjort noe som berørte de elektriske delene av anlegget.

Som nevnt var det en aktivitet ved reléhuset på Rudstad formiddagen 4. januar. Odd Martinsen, signaltekniker i Jernbaneverket region Øst, som utførte aktiviteten har til Kommisjonen forklart at aktiviteten gjaldt forberedelse for plassering av et sveivskap. Han var på Rudstad for å se hvordan sveivskapet burde plasseres. Han har forklart at han ikke var inne i reléhuset ettersom sveiskapet skulle plasseres på utsiden av huset.

Kommisjonen har ikke funnet noe som skulle tilsi at anlegget i tiden før ulykken var utsatt for aktiviteter som kan ha hatt betydning for ulykken eller ulykkesforløpet. Det må imidlertid påpekes at sikkerheten rundt signal- og sikringsanlegget burde vært bedre. Spesielt gjelder dette reléhuset. Selvom dette avlåses med spesialnøkkel, er det en meget stor utbredelse av disse nøklene. Relérommet, det innerste rommet i reléhuset, er noe bedre sikret, men også dette rommet har i følge opplysninger fra Jernbaneverket rundt 70 personer nøkkel til.

4.4.4 Observasjoner av avvik i signalanlegget

Under Kommisjonens høringer på Hamar ble det opplyst om flere forhold som ikke er i overensstemmelse med normal eller forventet funksjon i signalanlegget.

Slike antatte observasjoner kan skyldes en misforståelse, hukommelsessvikt eller lignende. Videre er det en del eksempler på at signalanlegget har fungert korrekt, men ikke som ventet eller ønsket. Eksempler på dette er tilfeller hvor det uventet blir gitt stoppordre. Det har imidlertid fremkommet observasjoner som vanskelig kan forklares med disse årsakene. Observasjoner i denne kategori som kom frem under høringene var:

• Lokomotivfører Leiv Helge Olsen foretok kryssing på Rudstad stasjon om morgenen 4. januar 2000. Han førte da et sydgående tog og opplevde en senere signalgang enn han er vant med. Både innkjørsignalet til Rudstad og utkjørssignalet kom senere enn de pleier i følge hans forklaring.

• En annen lokomotivfører, Ulf Anders Sætre, fører av et sydgående tog om morgenen ulykkesdagen, observerte i forbindelse med kryssing på Rudstad et uvanlig signalbilde. Toget fikk klarsignal i forsignalet for utkjør, altså på vei inn til stasjonen og utkjørssignalet var også grønt. Normalt pleier signalaspektet i forsignalet være «vent stopp». I det aktuelle tilfellet stod kryssende tog og ventet, og den observerte signalsekvensen er derfor ikke nødvendigvis feilaktig.

• En konduktør, Odd Bekk, forklarte at han rundt 1994 ved kjøring sydover hadde opplevd at utkjørssignalet plutselig falt i stopp da toget var i ferd med å forlate Rudstad stasjon. En samtale med togleder indikerte at utkjørssignalet ikke kunne ha vært grønt siden de skulle krysse på stasjonen. Kun kort tid etter at Bekk hadde ringt fra blokktelefonen ved signalet på Rudstad til togledersentralen på Hamar, kom det tog sydfra.

• En gårdbruker, Nils Harald Rustad, har til politiet forklart at han gjentatte ganger har sett at innkjørsignalet mot Rudstad stasjon nord fra ikke har blitt revet når tog passerer. Etter at signalanlegget ble satt i lokalstyrt modus for manuell togfremføring etter ulykken, er slike observasjoner ikke gjort av vitnet.

• På Rena stasjon så Per Erik Stensrud, lokomotivfører på et nordgående tog 30. november 1999, «vent kjør» i forsignalet inn til Rena. Senere fikk han se at innkjørsignalet viste stopp. En telefon til togleder avdekket at togleder ikke hadde lagt innkjør til Rena.

Mengden observasjoner av avvik i signalanlegget er såpass høyt at Kommisjonen ikke kan se bort fra mer komplekse feilsituasjoner. Dette synspunkt støttes også av assessor Railcert, jf. kap. 4.8.

4.5 Data fra hendelsesloggen for ulykkestogenes bevegelser på Rudstad og Rena, og på strekningen i mellom

Etter Åsta-ulykken ble det av Jernbaneverkets uhellskommisjon sikret hendelseslogg for tidsrommet 12.00 til 14.00, og da bare for Rena og Rudstad stasjoner. Hendelsesloggen kan skrives ut som en visualisering av hva togleders skjerm viste. Dette gjøres ved at hendelsesloggen kopieres og det som da er logget kjøres inn i en datamaskin programmert for replay. Gjennom dette replay-programmet kan man gjenskape skjermbildene kronologisk og studere hva togleders skjerm viste. En serie slike replay-bilder kan derfor brukes til å visualisere et hendelsesforløp.

I det følgende gjengis de sentrale data og bilder som viser hvilken informasjon togleder med ansvar for strekningen Hamar – Røros til enhver tid hadde i forbindelse med ulykken. Replay-programmet er bygget opp slik at det gir en simulering av registrerte hendelser. Det vil si at når programmet avspilles vises de enkelte endringene på togleders skjerm med riktig relativ tidsforskjell. Kommisjonen har sett en slik avspilling av replay-programmet. I sammenstillingen nedenfor er de poster i loggen utelatt som bare er en datateknisk bekreftelse på handlinger hos togleder. Videre er hendelser som ikke gir spesiell informasjon sløyfet. Bildene som presenteres her er derfor et utvalg.

Replay-bildene viser også sporvekslenes stilling. Når en veksel ligger til rettspor eller hovedspor omtales det som at vekselen ligger til pluss (+) eller plusstilling. Når vekselen ligger til avviksspor eller kryssingspor angis dette som at sporvekselen ligger til minus (-), minusstilling eller avvik.

Som nevnt i kap. 3.1 har Kommisjonen lagt til grunn at systemklokken i fjernstyringsanlegget gikk 59 sekunder for sakte. I de replay-bilder som her presenteres er det ikke korrigert for denne klokkefeilen.

4.5.1 Replay-bilde fra kl. 12.00.01

For perioden 12.00 til 13.02 er replay-bildene ikke gjengitt. For å få sammenhengen vises oversiktsbildet fra kl. 12.00 i figur 4.12.

4.5.2 Detaljbilder for Rudstad og Rena stasjoner

I figur 4.12 og figur 4.13 vises detaljbilder for Rudstad og Rena stasjoner kl. 13.02.12. Dette er skjermbilder, og ikke replay-bilder.

4.5.3 Perioden 13.02 til 13.11

Replay-bilder for Rena og Rudstad stasjoner i perioden fra kl. 13.02 til 13.11 er vist i figur 4.15 til 4.31.

4.6 Gjennomførte prøver og undersøkelser

Da Kommisjonen startet sitt arbeid var det åpenbart at feil ved infrastrukturen, og da først og fremst signalanlegget, kunne være en mulig direkte eller indirekte årsak til ulykken. Kommisjonen bestemte derfor allerede på første kommisjonsmøte at det var nødvendig å foreta en større teknisk gjennomgang av signal- og sikringsanlegget. Dette arbeidet ble som nevnt i kap. 2.6 satt ut til SINTEF, men med Railcert, Nederland, som assessor. SINTEFs arbeid har fra mars måned skjedd under regelmessig og tett oppfølgning fra Railcert.

Foruten Kommisjonens og dens sakkyndiges undersøkelser, har politiet i Østerdalen i samarbeid med Kripos gjennomført rekonstruksjoner samt foretatt prøver og målinger av ulike komponenter i anlegget. Også Jernbaneverket har gjennomført tester, kontroller og prøver som har vært utført under oppsyn av politiet. Disse undersøkelser har igjen dannet grunnlag for de undersøkelser og studier som Kommisjonen og SINTEF har foretatt.

Formålet med alle undersøkelsene har vært å undersøke om svakheter i signalanlegget kan ha vært en medvirkende årsak til ulykken.

Fysiske feil kan oppstå i innvendig anlegg, dvs. i utstyret i reléhuset. I innvendig anlegg vil det som oftest være enkeltkomponenter som feiler. I dette tilfellet kan det eksempelvis være reléer hvor kontaktene sveises fast i én stilling. En slik feilmode kan oppstå over tid pga. elektrisk overslag (gnist) i kontakten. Det kan også være at innvendig anlegg er feilmontert, vanligst ved at ledninger er ombyttet.

I utvendig anlegg er det ført og fremst feil i kabelføringene mellom de enkelte anlegg som kan gi feil i signalanlegget. Dette gjelder kablene fra reléhuset til de ytre objekter som signaler, sporfelter og sporveksler. I tillegg kan det oppstå feil i kabelen mellom de enkelte sikringsanlegg, det vil i dette tilfellet si i kabelføringen mellom sikringsanleggene på Rudstad og Rena. Denne kabelen benyttes for linjeblokkfunksjonen.

En vanlig kabelfeil er brudd i kabelen. Dersom det er en flerpars kabel kan et slik brudd ramme ett eller flere par i kabelen. Det kan også oppstå mekaniske skader på kabelkappen. Over tid kan disse skadene utvikle seg, slik at det oppstår faste eller sporadiske forbindelser mellom trådene i ulike par i kabelen.

Fysiske feil kan også oppstå i de enkelte objekter. Eksempelvis kan glødetråden i en signalpære være brent over slik at pæren må skiftes.

De mulige feilkilder i det tekniske anlegget som her er nevnt, er alle vanlige typer feil som oppstår i ethvert fysisk anlegg med ujevne mellomrom. For å utbedre slike feilsituasjoner utføres det feilretting på anleggene. Dette skjer som regel ved at komponenter eller moduler i anlegget skiftes ut. Deretter blir anlegget funksjonsprøvd.

Foruten de mer alminnelige tekniske feil som er gjennomgått ovenfor har det vært nødvendig å se etter eventuelle konstruksjonssvakheter i signalanlegget. Konstruksjonssvakheter kan i spesielle situasjoner være en årsak til at et elektroteknisk anlegg ikke oppfører seg som forutsatt.

4.6.1 Gjennomgang av foretatte prøver og undersøkelser

4.6.1.1 Prøver og undersøkelser 4. januar

4.6.1.1.1 Stillinger i PLS og reléer

Som nevnt i kap. 3.12 kom Jernbaneverkets uhellskommisjon til Rudstad stasjon om kvelden ulykkesdagen, ledsaget av tekniske etterforskere fra Kripos. I tillegg var to representanter fra Tilsynet til stede. Hensikten var å avlese teknisk informasjon i sikringsanlegget. Informasjonen ble dokumentert gjennom fotografier tatt av Kripos og Jernbaneverket. Det ble blant annet tatt bilder i reléhuset som viser stillingen på en del av reléene, og også av relevante utganger i PLS-systemet. Videre ble stillerapparatet fotografert.

Som nevnt i pkt. 3.4.7 hadde togleder etter ulykken sendt ordre om å sperre linjeblokken på ulykkesstrekningen. Disse ordrene endret tilstanden til de reléene som kontrollerer linjeblokken. Tilstanden i reléene, da de to tog forlot henholdsvis Rena og Rudstad stasjon, har således ikke vært mulig å avlese fullt ut. De linjeblokkreléer som ble endret som følge av ordren til sikringsanlegget på Rudstad om å sperre linjeblokken, var i en stilling konsistent med dette.

Status på PLS-utgangene på Rudstad ble også avlest av Jernbaneverkets uhellskommisjon og politiet. Materialet indikerer at linjeblokken var rettet fra Rena mot Rudstad. Det vil si at anlegget var slik innstilt at tog fra Rena skulle få grønt lys for kjøring mot Rudstad.

Ut over dokumentasjon av PLS-utgangene ble det ikke sikret informasjon om den datamessige tilstand i PLS-en. Det er tvilsomt om dette ville gitt relevant informasjon, tatt i betraktning at tilstanden i PLS-ene allerede var endret som følge av sperringen av linjeblokken.

Situasjonen på stillerapparatet på Rudstad ble også dokumentert og viser at varselfeltet nord for Rudstad hadde vært belagt. Dette belegget må i den aktuelle situasjonen ha vært gjort av nordgående ulykkestog. Dette er også en indikator på at linjeblokken hadde vært retningsstilt mot Rudstad.

Innholdet i registreringene på Rudstad er nærmere omtalt i SINTEFs rapport, kap. 3.5.2.

4.6.1.1.2 Sporveksel 2

Som tidligere nevnt ble det tatt bilder av sporveksel 2 på Rudstad. Dette ble gjort fordi man, ut fra hendelseslogg og hva togleders skjerm viste, hadde klare indikasjoner på at sporvekselen var oppkjørt av nordgående tog. Det vil si at vekselen lå til avvik, men ble presset over mot hovedspor da toget passerte. Vekselen ble også fysisk inspisert og bildene som er undersøkt av Banverket i Sverige ble tatt ved denne inspeksjonen. Dette gjelder først og fremst bilder av skadene på vekseltungen.

De observasjoner som ble gjort oppsummeres her. For det første ble det observert friske skrapmerker, se figur 4.33, og permanent deformasjon av vekseltungen, se figur 4.32. Videre lå vekseltungen i en mellomstilling, dvs. at den ikke var presset helt over til hovedsporet. Også stillerapparatet indikerte at veksel 2 var ute av kontroll.

Kilde: Foto fra politiet/Kripos

Kilde: Foto fra politiet/Kripos

Den informasjon som forelå ble senere sendt til Kommisjonens sakkyndige, Banverket i Sverige ved Bertil Eriksson. Han har vurdert informasjonen på oppdrag fra Kommisjonen og har konkludert med at det ikke kan være noen annen årsak til tilstanden i veksel 2 etter ulykken 4. januar enn at vekselen har blitt oppkjørt. Banverkets vurderinger er inntatt som vedlegg 3. Se også pkt. 4.4.3.1.

Politiet har i sin tekniske rapport konkludert med at man ikke kan si om sporvekselen er kjørt opp eller ikke. Kommisjonen på sin side mener i likhet med Banverket at sporveksel 2 ble oppkjørt, fordi skrapmerker på vekseltungens bakside og permanent deformasjon av vekseltungen gir sikre indikasjoner på dette. Det var ingen feilmeddelelser om at sporvekselen var ute av kontroll før ulykken, og vekselen ble meldt ute av kontroll noen sekunder etter at nordgående tog hadde forlatt Rudstad stasjon. Rekonstruksjoner har heller ikke påvist feil. Kommisjonen mener derfor at oppkjøringen av sporvekselen skjedde da nordgående ulykkestog passerte vekselen mens den lå i avviksposisjon.

4.6.1.1.3 Rena stasjon

Etter bevissikringen på Rudstad 4. januar ble reléhuset avlåst på vanlig måte. Det ble imidlertid ikke satt ut vakthold på stasjonen.

To representanter fra Jernbaneverkets uhellskommisjon dro etter bevissikringen på Rudstad alene til Rena stasjon. De hadde imidlertid ikke adgang til reléhuset på Rena, slik at bare indikasjonene på stillerapparat og PLS-en ble avlest og sikret. Informasjonen som ble sikret var imidlertid konsistent med informasjonen fra Rudstad.

4.6.1.2 Prøver og undersøkelser 5. januar

Den 5. januar 2000 ble det utført tre ulike prøver i sikringsanlegget. Ved disse prøvene var en representant fra politiet tilstede, og dokumentasjonen fra prøvene er gjort tilgjengelig for Kommisjonen.

For det første ble den grunnleggende sikkerhetsfunksjonen i anlegget, linjeblokken testet. Dette ble gjort ved å retningsstille linjeblokken og så gi ordre fra togledersentralen om å stille utkjør mot den retningen linjeblokken var lagt i. Det lot seg imidlertid ikke gjøre. Denne prøven ble gjort både fra Rudstad mot Rena og fra Rena mot Rudstad.

Dernest ble hendelsesloggen som var tatt ut 4. januar brukt som basis for å simulere ulykkesforløpet. Hendelsesforløpet ble ført frem til det punktet hvor nordgående tog passerer utkjørssignalet. Simuleringen ga ingen indikasjoner på feil i signal- og sikringsanlegget.

Videre ble de øvrige funksjoner som rødlyskontroll og sperring av linjeblokken prøvet. En rødlyskontroll er en elektrisk krets som sørger for at det blir gitt varsel på togledersentralen om at en pære i et rødt signal er defekt. Ingen funksjonelle feil ble avdekket. De prøver som ble gjennomført måtte imidlertid på stedet tilpasses den spesielle linjeblokken man har på Rørosbanen, da det ikke finnes en egen godkjent prøveprotokoll for denne type linjeblokk .

Gjennom de prøver som ble gjennomført av linjeblokken 5. januar ble også halemagnetdetektorene indirekte funksjonstestet. Detektorene fungerte som forutsatt. En prøve av linjeblokken lar seg ikke gjennomføre uten at det gis en korrekt indikasjon fra halemagnetdetektoren.

4.6.1.3 Strømforsyning

Det ble i etterkant av ulykken undersøkt om det hadde vært registrert uregelmessigheter i strømforsyningen i området ulykkesdagen. Slike uregelmessigheter var ikke registrert hos strømleverandøren. Det kan imidlertid ikke utelukkes at det har vært kortvarige transiente spenningsendringer lokalt. Eventuelle spenningsendringer har imidlertid ikke vært kraftige nok til å slå ut PLS-systemene på noen av sikringsanleggene.

Slik data fremkommer på hendelsesloggen, kan man ikke se spor av at slike transienter skal ha påvirket data i PLS-en eller i programavviklingen.

4.6.1.4 Atmosfæriske forhold

Data om de atmosfæriske forhold ulykkesdagen er fremskaffet og undersøkt. Data fra Universitetet i Tromsø indikerer at det ikke var unormalt kraftige magnetfelt ulykkesdagen.

4.6.1.5 Rekonstruksjon på Rudstad 9. januar

Den 9. januar 2000 gjennomførte politiet som nevnt i kap. 3.12 en rekonstruksjon på Rudstad. Denne ble blant annet gjennomført for å få et inntrykk av hvordan en oppkjøring av en sporveksel oppfattes i førerrommet på et motorvognsett. Dette ble dokumentert gjennom video som Kommisjonen har sett i ettertid. I tillegg har involverte polititjenestemenn som deltok under rekonstruksjonen avgitt egenrapporter, og lokomotivføreren som førte motorvognen i forbindelse med simuleringen ble avhørt. Lokomotivføreren, Finn Rom, har også forklart seg for Kommisjonen. All informasjon som er innhentet viser at en slik oppkjøring knapt er hørbar inne i førerrommet.

Under rekonstruksjonen ble det videre undersøkt i hvilket omfang lysforholdene kunne antas å ha spilt inn ved togfremføringen på Rudstad ulykkesdagen. Dette ble simulert for å få bekreftet eller avkreftet om sollys på utkjørssignalet kunne ha innvirket på evnen til å oppfatte signalet. Konklusjonen var at et rødt utkjørssignal, til tross for sollys, var lett å oppfatte.

4.6.1.6 Inspeksjon den 12. januar

Kommisjonsmedlem Skogstad, forsker Hans Berstad fra SINTEF, politiet og Jernbaneverket foretok 12. januar en inspeksjon av anleggene på Rudstad stasjon.

Under befaringen ble det oppdaget at lokket til halemagnetdetektoren nord for Rudstad var skadet. Selve deteksjonsreléet sitter i en forseglet enhet. Detektoren har fungert under all prøving etter at den ble skadet, og en feil eller skade på detektoren ville ført til at linjeblokken ikke ville kunne utløses etter togpassasje. En skade på detektoren ville derfor ha medført at det ikke kunne stilles klarsignal fra Rudstad mot Rena.

Etter denne inspeksjonen ble reléhuset på Rudstad plombert av politiet.

4.6.1.7 Kabelmåling 20. januar

Den 20. januar ble det utført isolasjonsmåling av kablene på Rudstad. Målingen ble utført av Jernbaneverket på forespørsel fra politiet. Formålet var å undersøke om det var eventuelle feil i kabelen mellom reléhuset og de ytre enhetene i signalanlegget. Det ble ikke funnet noen feil ved kablene.

4.6.1.8 Funksjonsprøve 30. januar

En funksjonsprøve ble utført den 30. januar 2000 av Jernbaneverket. Prøven ble overvåket av politiet og av SINTEF. Gjennom prøven ble det blant annet foretatt isolasjonsmålinger i sikringskretser, samt funksjonsprøve av jordfeildeteksjon. Også funksjonaliteten av linjeblokken ble prøvd på nytt. I tillegg ble PLS-en restartet . Ingen avvik ble avdekket.

Videre ble det i anlegget lagt inn en forbikopling av det sikkerhetsreléet som skal hindre at det settes grønt lys mot en retningsstilt linjeblokk. Da man simulerte en nordgående togbevegelse inn til Rudstad, fikk man fremprovosert et grønt utkjørssignal mot Rena. Noen spor etter at en slik forbikopling har forekommet er imidlertid ikke avdekket, hverken i reléet, i den elektriske kretsen som reléet inngår i eller i hendelsesloggen.

4.6.1.9 EMC-målinger 8. februar

Såkalte EMC-målinger ble utført 8. februar 2000 på Rudstad og Rena av NEMKO. Hensikten med EMC-målingene var å undersøke om elektromagnetisk stråling kunne forstyrre funksjonene i sikringsanleggene. Den strålingen som ble påført anleggene under målingene var vesentlig kraftigere enn det som forekommer normalt. Målingene omfattet hele signalanlegget, herunder reléhus og de ulike ytre enheter som sporveksler, signaler og veibomanlegg, både på Rudstad og Rena. Prøven omfattet også linjeblokkfunksjonen ved at kabelforbindelsen mellom Rudstad og Rena ble testet.

Det ble ikke avdekket svakheter ved anleggene som kan ha hatt betydning for ulykken. Ved en spesiell prøve foretatt for å avdekke svakheter i digitalt utstyr, stoppet modemet som har kommunikasjonsforbindelsen til fjernstyringsanlegget på Hamar. Sikringsanlegget fungerte imidlertid korrekt også i denne situasjonen.

4.6.1.10 Driftsprøve på Rudstad og Rena 9. februar

Den 9. februar 2000 ble det gjennomført driftsprøve av sikringsanlegget på Rudstad og Rena av Jernbaneverket. Hensikten med prøven var å klargjøre signalanlegget for en rekonstruksjon i regi av Kommisjonen og politiet påfølgende dag. Prøven foregikk delvis lokalt fra stillerapparatet og delvis fra togledersentralen på Hamar. De to som gjennomførte driftsprøven samarbeidet om utprøvingen av linjeblokken.

Sikringsanlegg og linjeblokk ble funnet å være i orden.

4.6.1.11 Rekonstruksjon 10. februar

10. februar 2000 ble det gjennomført en ytterligere rekonstruksjon. I tillegg til Kommisjonen, SINTEF og politiet deltok representanter for Jernbaneverket og NSB BA. Situasjoner som ble rekonstruert, var ordinær kryssing på Rudstad stasjon, situasjonen som vist på togleders skjerm ulykkesdagen og test av ferdskriver.

Videre var det ønskelig med en ny oppkjøring av sporveksel 2. Dette lot seg imidlertid ikke gjøre, fordi tilstanden i veksel 2, etter blant annet rekonstruksjonen 9. januar, tilsa at det ville være uforsvarlig å kjøre opp vekselen på nytt pga. avsporingsfare. Oppkjøringen ble derfor foretatt på sporveksel 1 som er identisk med veksel 2, ser man bortfra at den naturlig nok er speilvendt. Det var tydelige spor på vekselen etter oppkjøringen, og det var første gang veksel 1 ble oppkjørt. Vekselen ble imidlertid slått helt over, dog uten å gå i mekanisk lås. Den ble altså ikke liggende i en mellomstilling slik man fant veksel 2 etter ulykken 4 januar. Dette ble forklart med at veksel 1 var nysmurt, se for øvrig pkt. 4.6.1.1.2.

Det fremkom ingen indikasjoner på feil i sikringsanlegget under denne rekonstruksjonen.

Det skal imidlertid bemerkes at selv om rekkefølgen på hendelser ble gjennomført som på ulykkesdagen, var det noen avvik i tidsgjennomføringen av togfremføringen. De dynamiske forholdene var derfor ikke helt de samme som på ulykkesdagen.

Politiet har gjennomgått hendelsesloggen fra rekonstruksjonen. Data fra loggen er sammenlignet med ferdskriverne for togene. Denne sammenligningen ga god overensstemmelse mellom logg og togfremføring.

4.6.1.12 Inspeksjon og prøving av kabler 25. februar

En inspeksjon av kablene på Rudstad og Rena ble gjennomført 25. februar 2000. Inspeksjonen omfattet alle innvendige og utvendige kabler frem til utvendige koblingsskap. For signalkablene ble inspeksjonen utført helt frem til de ytre objektene. Telekabelen mellom Rudstad og Rena ble også kontrollmålt.

Formålet med inspeksjonen var å kontrollere elektrisk forbindelse mot koplingsskjema. Dessuten ble kablene testet for kortslutninger. Sporisoleringen ble også kontrollert.

Det ble ikke påvist funn som kan relateres til ulykkesforløpet.

4.6.1.13 Kabelmålinger 21. og 28. mars

Signal- og telekabler på Rudstad, Åsta og Rena ble testet 21. og 28. mars 2000 av Seba nor AS på oppdrag fra politiet. Hensikten var å undersøke om det forelå mantelfeil. En mantelfeil er en skade på kabelkappen som i verste fall kan gi krypstrømmer, dvs. feilaktige elektriske forbindelser. Det ble avdekket mantelfeil, men de var ikke av en slik art som gir krypstrømmer. De avdekkede mantelfeil kan ikke føre til eventuelle periodiske feil i de aktuelle kablene eller antas å ha noen innvirkning på signalanleggets drift og virkemåte.

Kabelkappen på Åsta ble i tillegg inspisert etter at kabelen var gravd opp i 35   m lengde. Kabelen var sterkt skadet av brannen etter kollisjonen. Om det forelå øvrige skader var ikke mulig å vurdere pga. brannskadene.

Full informasjon om disse kabelmålingene fikk Kommisjonen først 20. september 2000.

4.6.1.14 EMP-måling 22. mars

Elektromagnetisk puls (EMP) kan oppstå i forbindelse med lynnedslag. Reléhuset på Rudstad er ikke EMP beskyttet, og bare noen av de innkommende kablene til huset har slik beskyttelse.

EMP-målingene ble utført 22. mars 2000 på Rudstad. Pulser ble gitt på kablene mellom reléhuset og objekter ute på stasjonsområdet. Prøvene ble gjennomført med ulike signalkombinasjoner, og med linjeblokken i ulike stillinger. Styrken på den elektromagnetiske pulsen som ble brukt kunne forårsaket forstyrrelser, men ikke synlige ødeleggelser.

Målingene avdekket ingen virkninger i anleggets oppførsel. Det kan derfor sluttes at en elektromagnetisk puls ikke kan ha hatt betydning for ulykkesforløpet.

4.6.2 Vurdering av utførte prøver og målinger

Det er utført langt flere prøver og målinger i signalanlegget enn hva som vanlig gjøres for å sikre kvaliteten på et anlegg før det igjen settes i drift etter en hendelse. Særlig gjelder dette sikringsanlegget på Rudstad.

Konklusjonen på de utførte prøver og undersøkelser, som ovenfor er gjennomgått, er at det ikke er funnet spor av fysiske feil som kan forklare ulykken

Eventuell soloppvarming av lyssignalmast er vurdert. Det anses utelukket at solen ulykkesdagen skal ha varmet opp signalhodet slik at utilsiktede baner for elektriske strømmer har oppstått, ettersom ulykken skjedde i vinterhalvåret hvor solen står lavt på himmelen og varmer lite.

4.7 Teknisk gjennomgang av signalanlegget

I forbindelse med at Kommisjonen engasjerte en sakkyndig til å foreta en teknisk gjennomgang av signal- og sikringsanlegget, fikk selskapet følgende mandat:

«Den regjeringsoppnevnte undersøkelseskommisjon ber SINTEF v/ Hans Berstad undersøke om operasjonelle eller tekniske egenskaper ved signalanlegget inkludert kommunikasjon med togledersentralen på Hamar kan ha hatt feil eller uregelmessigheter som kan ha hatt konsekvenser for den togfremføring som fant sted 4. januar 2000.

Inkludert i oppdraget er å undersøke om feilretting, vedlikeholdsarbeid og annet arbeid kan ha hatt konsekvenser for nevnte togfremføring.

I tillegg bes SINTEF v/ Hans Berstad om å undersøke om det har vært arbeider av el.verk eller lignende som kan ha hatt betydning for strømforsyning til signalanlegget.

SINTEF v/ Hans Berstad bes også undersøke om plassering av telemast kan ha hatt betydning for signalanlegget.

Videre gjør undersøkelseskommisjonen oppmerksom på uregelmessigheter ved signalanlegg på Opphus st. og vedlikeholdsarbeid på signalanlegg på Rustad st. i fjor høst. Dersom SINTEF v/ Hans Berstad finner at disse uregelmessigheter/arbeider vil kunne ha betydning for hans vurderinger vil mandatet etter tilbakemelding til kommisjonen bli utvidet.

SINTEF v/ Hans Berstad gir undersøkelseskommisjonen et tids- og kostnadsestimat og en arbeidsplan så raskt som mulig.

Den regjeringsoppnevnte undersøkelseskommisjon er oppdragsgiver. Alle henvendelser i anledning oppdraget skal gå mellom kommisjonen og SINTEF v/ Hans Berstad.

Dersom kommisjonsmedlem Øystein Skogstad instruerer SINTEF v/ Hans Berstad om å foreta ytterligere undersøkelser eller konkretisere mandatet, skal de øvrige kommisjonsmedlemmer også informeres.

Dersom andre instanser som politi, øvrige kommisjoner eller andre skulle ha spørsmål eller forhold de ønsker avklart gjennom dette oppdraget skal slike forespørsler gå gjennom oppdragsgiver.

SINTEF v/ Hans Berstad er klar over at undersøkelseskommisjonen i tillegg vil engasjere en utenlandsk assessor til å gi en nærmere uavhengig vurdering av arbeidet. Arbeidsspråket for den sakkyndige rapport SINTEF v/ Hans Berstad skal avlevere til undersøkelseskommisjonen er derfor engelsk.

Regning sendes undersøkelseskommisjonen. Det forutsettes at ressursbruk og faglig fremdrift rapporteres ukentlig».

Den sakkyndige la opp sitt arbeid etter to hovedlinjer. For det første å følge opp de undersøkelser som ble foretatt ute i felten, jf. kap. 4.6, og å identifisere eventuelle tilleggsundersøkelser som ville være nødvendige å foreta. Ingen slike tilleggsundersøkelser ble identifisert, men enkelte av de undersøkelser som politiet gjorde ble foretatt også utfra den sakkyndiges ønske. Hensikten med denne delen av arbeidet var å avdekke eventuelle fysiske feil i signalanlegget.

Den andre hovedvei var å foreta en full teknisk gjennomgang av signalanlegget, gjennom studie av anleggets dokumentasjon for å avdekke eventuelle konstruksjonssvakheter som kunne hatt betydning for ulykkesforløpet. Dette arbeidet kunne avdekke om det var logiske feil i anlegget som kunne ha ført til en relevant feilsituasjon som ikke ville sette fysiske spor etter seg i anlegget.

Resultatene av arbeidet er som tidligere nevnt dokumentert i en egen rapport, inntatt som vedlegg 4.

SINTEF har under arbeidet gjennomført flere aktiviteter. Disse gjengis kort nedenfor.

Det er foretatt en teknisk vurdering av systemet. En rekke svakheter er påpekt og flere av disse er sikkerhetsfarlige. Se nærmere pkt. 4.2.2.3.

Videre har SINTEF vurdert prøver og undersøkelser som er gjennomført. Disse ble gjennomgått i pkt. 4.6.1 og så vel SINTEF som Kommisjonen har funnet å kunne feste lit både til prøvemetodene og resultatene av prøvene.

En feiltreanalyse rettet mot utkjørssignalet ble gjennomført etter anmodning fra assessor Railcert. Dette er en systematisk angrepsmåte som tar utgangspunkt i en topphendelse, i dette tilfellet et feilaktig utkjørssignal på Rudstad, for så å analysere hvilke kombinasjoner av hendelser som må inntreffe for at denne topphendelsen kan finne sted. Hensikten var å få frem hvilke sikkerhetsreléer som ligger som barrierer mot at en feil i systemet kan føre til et falskt signal. I denne analysen er det tatt hensyn til gyldige og ugyldige ordresekvenser fra togleder og de verst tenkelige feiltilstander i PLS-delen av sikringsanlegget.

Foruten utkjørssignalet er de øvrige signaler som vil ha betydning for kjøring nordover fra Rudstad undersøkt i form av en barriereanalyse. For signalene forsignal utkjør, togsporsignalene og utkjør fra avviksspor, er det gjennomført en systematisk analyse av de sikkerhetsreléer og betingelser som inngår i forriglingskretsene. Det er konstatert at de viktigste barrierer også finnes for disse signaler. Videre presenteres hvilke feilårsaker som eventuelt skulle kunne få disse barrierer til å svikte.

SINTEF har videre gjennomgått linjeblokksystemet i detalj for å avdekke eventuelle konstruksjonsmessige svakheter i dette.

Kontraindikasjoner er identifisert i de scenariene som er studert. I denne sammenheng er hendelsesloggen fra 4. januar en viktig kontraindikasjon. SINTEF har derfor som nevnt i pkt. 4.3.3 på Kommisjonens anmodning sett spesielt på påliteligheten av den informasjon som er logget.

SINTEF har også i sin rapport summert opp de mest sannsynlige scenariene og rangert disse skjønnsmessig etter sannsynlighet utfra et signalteknisk perspektiv, jf. SINTEFs rapport kap. 7.13.

Den sakkyndige har kommet frem til følgende hovedkonklusjoner:

• Alt tyder på at loggen på Hamar togledersentral gir et korrekt bilde av status ute på stasjonene, slik at en kan stole på den informasjonen som finnes der.

• Det er ikke funnet tekniske feil eller spor etter tekniske feil, som kan forklare ulykken. Alle de tekniske indikasjonene som finnes taler imot de feilkombinasjoner som er identifisert.

• Det er ikke funnet tekniske spor som indikerer annet enn at det var grønt utkjørssignal for det sydgående toget fra Rena. To kompetente øyevitner, begge ansatt i NSB, støtter også at det var grønt for sydgående tog.

• Alle tekniske spor etter ulykken tyder på at det nordgående toget ikke hadde grønt lys da det forlot Rudstad.

• Det er flere muligheter for at en enkeltfeil, blant annet i den programmerbare logiske styringen (PLS), kan slukke det røde lyset utilsiktet og gi svart mast.

• Ingen tekniske spor tyder på at det var et unormalt utkjørssignal på Rudstad. Ut fra teknisk informasjon var det mest sannsynlig rødt utkjørssignal på Rudstad.

• Det finnes tekniske svakheter ved signalsystemet som må korrigeres. Blant annet inneholder PLSene sikkerhetsfunksjoner. Dette er i strid med forutsetningene. SINTEF har imidlertid ikke funnet at disse svakhetene kan forklare ulykken. Bruk av en standard PLS slik at den kan påvirke sikkerheten i et signalanlegg er ikke akseptabelt.

• Det eksisterer rapporter om unormale signalbilder, både fra Rørosbanen og andre lignende installasjoner. Dette tyder på at det under helt spesielle betingelser kan forekomme midlertidige feil uten varige spor som gir feilaktige signaler både i NSB-87 og kanskje også i NSI-63. Det kreves meget strenge prosedyrer for rapportering av uønskede hendelser og signalbilder dersom slike feil skal kunne lukes ut. Det kan ikke utelukkes at denne typen feil kan ha bidratt til ulykken, men det er ingen tekniske indikasjoner som sannsynliggjør dette.

• Etter ulykken og før bevisene var sikret, ble det i henhold til prosedyren gitt kommandoer til systemet. Dette forandret stillingen på noen releer. Under bevissikringen ble loggene for Rudstad og Rena bare tatt ut for et for begrenset tidsrom, samtidig som loggene på nabostasjonene ikke ble sikret. Det ble heller ikke sikret fullstendig dokumentasjon av alle reléstillinger og PLS-status. Dette gjør undersøkelsene vanskeligere enn nødvendig, da nyttig informasjon mangler.

SINTEFs konklusjon kan sammenfattes til at det er «veldig lite sannsynlig», men «ikke absolutt umulig» at tekniske feil har påvirket sikringsanleggets funksjon ulykkesdagen. Grunnen til at konklusjonen er usikker skyldes først og fremst anleggets konstruksjon og at det bare ble sikret hendelseslogg for to timer og da bare for stasjonene Rudstad og Rena.

4.8 Assessering av de tekniske undersøkelsene

SINTEFs arbeid er assessert av Railcert, Nederland. Kommisjonen besluttet dette som tidligere nevnt fordi SINTEF har hatt oppdrag både for NSB BA og Jernbaneverket tidligere. Kommisjonen fikk erfare at jernbanemiljøet i Norge er så lite at om man skulle få en jernbanekyndig sakkyndig som kunne kommunisere på norsk og lese norske dokumenter, fantes det ingen som ikke hadde hatt oppdrag for NSB BA og Jernbaneverket. For å sikre en viss uavhengighet i forhold til norsk jernbanevirksomhet ble løsningen med uavhengig assessor valgt. Dette sikret også at man fikk ytterligere tre sakkyndige til å vurdere de undersøkelser som ble foretatt og de konklusjoner SINTEF på denne bakgrunn trakk. Assessor har arbeidet nært opp mot SINTEF siden de aksepterte oppdraget og har etter Kommisjonens oppfatning hatt meget stor betydning for det arbeidet SINTEF har utført. Assessoroppdraget bestod både i en vurdering av SINTEFs arbeidsmetodikk og resultatene av SINTEFs arbeid.

Railcert fikk følgende mandat:

«The Government appointed Commission of inquiry is investigating the circumstances which led to the train accident at Rørosbanen where two passenger trains collided and resulted in the fatal loss of 19 lives.

The Commission is asking Railcert/ W.J.Coenraad to provide an independent assessment of the analysis Sintef/ Hans Berstad is undertaking concerning the signalling and remote control system in use at Rørosbanen.

The objective of the Sintef analysis is to investigate if operational or technical properties of the signalling system at Rudstad and Rena stations, including the track between them and the remote control system at the traffic control centre at Hamar, could have had faults or irregularities with possible consequences for trains 2369 and 2302 at the time of the accident on January 4th 2000.

The analysis includes to investigate if repair work, maintenance or other activities concerning the signalling system could have had consequences for the trains in question.

In addition, the analysis should also include to investigate if there have been activities concerning external electrical power supply which could have had consequences for the required power supply to the signalling system. Possible disturbances from a nearby tele communications mast should also be included.

Railcert’s task will be to provide an independent assessment of Sintef’s investigation method, work, conclusions and report. To this end Railcert will

• Meet Sintef experts and discuss their investigation approach and methods

• Study, monitor and comment Sintef progress reports

• Point out items for clarification, improvement and /or ask for additional information as and when required.

• Study Sintef’s final report

• Perform an audit and produce an audit report

• Prepare and present an assessment report.

Railcert is asked to provide the Commission with an offer comprising fixed price or budget price with hourly rates and statement of accounts every two weeks after a first meeting in Trondheim on March 17th, where Sintef will convey the scope and nature of their analysis and Railcert will have a possibility to identify steps and tasks in the assessment process. It is of utmost importance that the assessment work can start without delay and is given high priority until it is finished. The Commission requires an indication on necessary time consumtion after reception of the Sintef final report with the offer.

It is also of utmost importance to the Commission that the assessment is independent from NSB and Jernbaneverket. This means that neither Railcert as a company nor the persons involved as assessors can be allowed to have any business connections with the mentioned companies until the final assessment report is delivered. Should this not be possible the commission requires Railcert to provide relevant information concerning such connections for evaluation.

Client will be the Government Appointed Commission. All information and questions related to the assessment shall be exchanged between the Commission and Railcert. Contact person with the Commission is Ingemar Pålsson.

If outside parties like the police, other investigating Commissions or any other person should have questions or situations related to the assessment work, such inquiries shall be passed to the Commission.

Invoices shall be sent to the Commission at above adress. Progress and developed costs shall be reported every second week.»

Railcert har gitt følgende konklusjoner og anbefalinger til Kommisjonen vedrørende de tekniske undersøkelser:

« With regard to Sintef’s conclusions :

• We feel that Sintef’s conclusions 2, 4 and 6 suggest that a technical cause, related to the signaling installations, for the accident can be ruled out. We support this conclusion only inasmuch as it applies to a steady state, single cause failure. We do however stress the need to look beyond such «simple causes».

• In fact Sintef’s studies have revealed a number of deficiencies in the design of NSB87 (and NSI-63) as well as serious hiatus in the collection and safeguarding of possibly vital evidence immediately after the accident. A number of known reports of anomalies in similar installations exist. Based on these, we have been able to construct theoretical scenarios where the behaviour of the signaling installations might at least have contributed to the causes of the accident. These scenarios, as well as effects of combinations of several known deficiencies could neither been proven, nor disproved by the evidence in hand, or the results of Sintef’s analyses and studies.

We are of the opinion however, that at this point in time it is highly unlikely that conclusive evidence could still be uncovered relating to the signaling installations’ possible contribution to the accident.

After evaluating Sintef’s analysis and report we feel that it can neither be completely proven, nor completely ruled out, whether the signalling system has actually caused or contributed to the cause of the accident.

It can not be excluded that the train driver has departed upon mistaking a green flash of 2 – 3 seconds for a legal green exit signal (ref. 7.15.3), specially if he had been distracted due to other reasons. A green signal blink of ca. 2–3 seconds can (even if the train drivers are normally aware of the interlocking system causing such an intermediate signal aspect) certainly lead to departing without further observation of the signal (colloquially known as the «ding-ding-and-away» phenomenon).

Recommendations

With regard to the technical investigation:

We would like to stress the need for development of structured and standardised methods and procedures for technical investigations like this one, including e.g. checklists of items to be investigated depending of the situation at hand. This should complement the unbiased open approach to an investigation by an outsider not hindered by training, company culture etc.

With regard to Sintef’s recommendations :

We fully support Sintef’s recommendations».

Railcerts konklusjon ligger tett opp til de vurderinger Kommisjonen selv har foretatt og som har medført anbefalingen om en fullstendig reengineering av sikringsanlegg NSB-87. Kommisjonen er også enig i Railcerts konklusjon, ettersom det ved enhver teknisk undersøkelse er et skjønnsspørsmål hvor dypt man skal gå. Det vil alltid være slik at ytterligere undersøkelser kan foretas. For Kommisjonen har det vært viktig at assessor, teknisk sakkyndig og Kommisjonen selv var enige om at man hadde nådd et punkt i det tekniske undersøkelsesarbeidet hvor man kunne fortsette å avdekke feil og svakheter i anlegget, men hvor disse uansett ikke kunne hjelpe de involverte med å komme nærmere en løsning på årsaken til ulykken. Man hadde allerede, både gjennom studier og analyser som igjen var prøvd ut ved rekonstruksjoner og tester, provosert frem de verst tenkelige tekniske scenarier i signalanlegget.

Assessor rapport fra Railcert er inntatt som vedlegg 5.

4.9 Sabotasje mv.

Kommisjonen har vært oppmerksom på at sabotasje kunne være en mulig årsak til ulykken. For å frembringe et feilaktig signalbilde som ikke setter spor etter seg er det nødvendig med jernbanefaglig kompetanse. Enkelte slike handlinger krever spesialkompetanse, mens andre krever alminnelig kompetanse som de fleste som er opptatt av jernbane vil kunne ha. Noen handlinger krever samarbeid mellom flere personer.

Kommisjonen har tatt med sabotasje som en mulighet i forbindelse med sine høringer, i gjennomgangen av politiets vitneavhør og i det tekniske undersøkelsesarbeidet som er foretatt, samt i gjennomgangen av de data som ble sikret.

Konklusjonen som kan trekkes fra dette materialet er at det ikke foreligger indikasjoner på at sabotasjehandlinger har vært utført. For en del mulige sabotasjehandlinger foreligger det kontraindikasjoner i form av at data vedrørende handlingene ikke finnes på loggen. For andre mulige handlinger mangler indikasjoner på at personer har vært fysisk tilstede på de steder de måtte ha vært for å utføre en sabotasjehandling. Typisk for slike handlinger er at personer hadde måttet oppholde seg på bestemte plasser både før og etter at nordgående tog forlot Rudstad stasjon. Konkrete bevegelsesmønstre av denne typen som skulle passe med noen sabotasjehandling er ikke påvist.

Det er således ingen indikasjon på at sabotasje har vært utført og har vært årsak til en feil i infrastrukturen som kan ha gitt et feilaktig utkjørssignal på Rudstad. Kommisjonen mener derfor at en sabotasjehandling kan ses bort fra som mulig årsak til ulykken.

Kommisjonen har også vært oppmerksom på muligheten for at noen av de impliserte parter i tiden etter ulykken kan ha forsøkt å skjule eventuelle spor etter feilhandlinger som direkte eller indirekte kunne forårsaket ulykken.

Det finnes muligheter for å manipulere anlegget etter en ulykke slik at feilhandlinger skjules, men det kreves da samhandling mellom flere personer. Kommisjonen har ikke funnet noen indikasjoner på at slike handlinger er foretatt.

4.10 Uønsket hendelse på Brumunddal

Den 18. april 2000 inntraff en uønsket hendelse på Brumunddal stasjon som var av en slik karakter at Kommisjonen fant grunn til å vurdere den nærmere, fordi den kunne være av betydning for undersøkelsesarbeidet knyttet til Åsta-ulykken. Hendelsen hadde flere fellestrekk med denne. Det vesentlige er imidlertid at sikringsanlegget på Brumunddal, NSI-63, og sikringsanlegget NSB-87 på Rørosbanen i sin kjerne antakelig er like, jf. pkt. 4.2.2. Kommisjonen kunne derfor ikke se bort fra at det var en felles konstruksjonssvakhet i anleggene.

Nordgående tog 315 skulle 18. april 2000 foreta kryssing med to sydgående tog på Brumunddal stasjon. Etter at det første toget kom inn observerte lokomotivfører i tog 315 at utkjørssignalet viste grønt. Han tente lampene som signaliserer til konduktør at «kjøretillatelse er mottatt». Konduktør observerte da togssporsignalet som viste grønt. Da lokomotivfører igjen så på utkjørssignalet viste dette rødt. Han har anslått perioden utkjørssignalet viste grønt til ca. fem sekunder.

Kort tid senere ankom det neste sydgående toget for kryssing. Tog 315 fikk igjen grønt i utkjørssignalet for at dette så falt tilbake til rødt etter at toget var satt i bevegelse.

Det er ikke installert hendelseslogg for denne strekningen. Kommisjonen igangsatte derfor to arbeider i et forsøk på å bringe klarhet i ovennevnte. Dels ble Synergimeldinger for de siste år samt materiale fra Banedatabanken innhentet. Gjennomgangen av dette materialet avdekket at antall rapporterte tilløp til ulykker etter Kommisjonens oppfatning var for høyt. Innmeldte hendelser, hvor ingen feil ble funnet, var også høyere enn hva man kunne forvente om forholdene var normale. Kommisjonens assessor gikk igjennom statistikkene og delte Kommisjonens oppfatning.

I tillegg til ovennevnte foretok Kommisjonen en sammenligning av sikringsanleggene NSI-63 og NSB-87 for å undersøke om det var felles konstruksjonssvakheter som kunne gi feilaktig grønt signal i kortere eller lengre perioder. Det ble ikke gjort konkrete funn, men Kommisjonen kan heller ikke utelukke at det finnes en tids- eller tilstandsavhengig feil i de to anleggene.

Kommisjonen besluttet på dette stadium ikke å gå lenger i sine undersøkelser, da så vel SINTEF som Railcert var enige i at ytterligere undersøkelser ikke nødvendigvis ville avdekke en slik tilstandsavhengig feil og at en eventuell feil heller ikke nødvendigvis ville gi årsaken til Åsta-ulykken. I tillegg kom at en slik undersøkelse ville være omfattende og kunne ta opptil flere år.

Kommisjonen kontaktet umiddelbart Samferdselsdepartementet om situasjonen og anbefalte at det ble igangsatt en teknisk gjennomgang av NSI-63 på bakgrunn av de svakheter som var avdekket i NSB-87 og det faktum at de to anleggene antagelig er like i sin kjerne. Kommisjonens brev til Samferdselsdepartementet er inntatt som vedlegg 2.

4.11 Oppsummering

Basert på redegjørelsen ovenfor ser Kommisjonen følgende forhold som avklart:

• Sporveksel 2 ble oppkjørt av nordgående ulykkestog.

• Hendelsesloggen på Hamar anses pålitelig.

• Det er ikke funnet fysiske feil som forklarer hendelsesforløpet.

• Sikringsanlegget har sikkerhetsfarlige svakheter av konstruksjonsmessig art.

• Det er påvist feil og mangler i systemdokumentasjon og tegninger av sikringsanlegget.